Rechtliches

Auftragsverarbeitungsvertrag

TorCheck Pro · gemäß Art. 28 DSGVO · Version 1.2 · Stand: August 2026

Auftragsverarbeiter

TorCheck Pro · Patric Seitz

Stauffersbergstraße 19a · 86486 Bonstetten

info@torcheckpro.de

Verantwortlicher

Das bei der Registrierung angegebene Unternehmen (Kunde)

§ 1Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich digitales Prüfmanagement für Toranlagen und Zutrittssysteme über die Software-as-a-Service-Plattform TorCheck Pro (torcheckpro.de).

Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag gilt für die gesamte Dauer der Nutzung von TorCheck Pro und endet automatisch mit Beendigung des Hauptvertrags (AGB).

§ 2Art, Umfang und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der TorCheck Pro Plattform, insbesondere:

Verwaltung von Toranlagen und technischen Anlagen
Erfassung und Verwaltung von Prüfberichten und Arbeitsberichten
Verwaltung von Kundenstammdaten
Kommunikation zwischen Mitarbeitern und Kunden
Abrechnung und Zahlungsabwicklung
Erfassung von Arbeits- und Abwesenheitszeiten der Beschäftigten des Verantwortlichen — nur bei gebuchtem Zusatzmodul „Team & Zeiterfassung“. Ohne Buchung findet diese Verarbeitung nicht statt.

Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

§ 3Art der personenbezogenen Daten

Im Rahmen der Vertragserfüllung werden folgende Kategorien personenbezogener Daten verarbeitet:

Mitarbeiterdaten: Name, E-Mail-Adresse, Rolle/Funktion
Kundendaten: Firmenname, Ansprechpartner, Adresse, Telefon, E-Mail
Prüfdaten: Standortdaten, Prüfergebnisse, Mängelberichte, Fotos von Anlagen, Datum und Uhrzeit
Zahlungsdaten: Werden ausschließlich durch Stripe (Unterauftragsverarbeiter) verarbeitet — TorCheck Pro speichert keine Kreditkartendaten
Beschäftigtendaten (nur Zusatzmodul „Team & Zeiterfassung“): Arbeits- und Pausenzeiten, Abwesenheiten einschließlich Urlaub und Krankmeldung, Arbeitszeitmodelle, Korrekturanträge sowie Freigaben durch Vorgesetzte

§ 4Pflichten des Auftragsverarbeiters

Weisungsgebundenheit: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet
Technische Maßnahmen: Umsetzung geeigneter TOMs gemäß Art. 32 DSGVO (siehe § 7)
Betroffenenrechte: Unterstützung bei Auskunft, Löschung, Berichtigung und Datenportabilität
Datenpannen: Unverzügliche Information des Verantwortlichen innerhalb von 24 Stunden
Löschung: Nach Vertragsende werden alle Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht

§ 5Pflichten des Verantwortlichen

Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung
Weisungen zur Datenverarbeitung erfolgen schriftlich oder per E-Mail an info@torcheckpro.de
Festgestellte Fehler oder Unregelmäßigkeiten sind dem Auftragsverarbeiter unverzüglich mitzuteilen

Besondere Hinweise zum Zusatzmodul „Team & Zeiterfassung“

Mit der Buchung verarbeitet der Verantwortliche Beschäftigtendaten in eigener Verantwortung. Für eine tragfähige Rechtsgrundlage — etwa § 26 BDSG, eine Betriebsvereinbarung oder Art. 6 DSGVO — hat der Verantwortliche selbst zu sorgen.
Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, hat der Verantwortliche zu prüfen und gegebenenfalls durchzuführen. Systeme zur Erfassung von Arbeitszeiten werden von Aufsichtsbehörden regelmäßig als prüfungsbedürftig eingestuft. Der Auftragsverarbeiter unterstützt dabei nach Art. 28 Abs. 3 lit. f DSGVO mit den erforderlichen Informationen zur Verarbeitung.
Bestehende Mitbestimmungsrechte des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG sind vor der Einführung zu wahren. Die Zeiterfassung ist eine technische Einrichtung, die zur Überwachung von Verhalten und Leistung geeignet ist.

§ 6Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:

Google Firebase (Google Ireland Ltd.)

Datenbank (Firestore), Authentifizierung, Dateispeicher, Push-Benachrichtigungen · EU (Multi-Region eur3, Belgien/Niederlande)

Google Cloud Functions (Google LLC)

Serverseitige Verarbeitung (Einladungen, Abrechnung, Terminerinnerungen, Berichtserstellung) · USA (us-central1), EU–US Data Privacy Framework

Vercel Inc.

Hosting der Web-Applikation · EU/USA (Vercel Edge Network)

Stripe Inc.

Zahlungsabwicklung · EU/USA

Resend Inc.

E-Mail-Versand (Transaktions-E-Mails) · EU (Ireland, eu-west-1)

Sentry (Functional Software, Inc.)

Fehler- und Crash-Monitoring, ohne Übermittlung personenbezogener Daten (PII-Erfassung deaktiviert) · EU (Frankfurt)

Änderungen (Hinzufügung/Austausch von Unterauftragsverarbeitern) werden dem Verantwortlichen mit einer Vorankündigungsfrist von 30 Tagen per E-Mail mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist widersprechen.

§ 7Technische und organisatorische Maßnahmen (TOMs)

Rollenbasierte Zugriffskontrolle (RBAC) — Mandantentrennung
TLS 1.2/1.3 Verschlüsselung für alle Datenübertragungen
HTTPS mit HSTS und Sicherheits-Headern
AES-256 Verschlüsselung at Rest (Firebase)
Firestore Point-in-Time Recovery (PITR) — 7 Tage Wiederherstellung
Tägliche und wöchentliche automatische Backups
Audit-Logging sicherheitsrelevanter Änderungen an Prüf-, Stamm- und Teamdaten
Firebase SLA: 99,95 % Verfügbarkeit

§ 8Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters. Durch die Registrierung bei TorCheck Pro und Akzeptanz der AGB erklärt der Verantwortliche sein Einverständnis mit diesem Auftragsverarbeitungsvertrag.

→ Impressum · Datenschutz · AGB